PHP corrige dos fallos críticos investigados con ayuda de inteligencia artificial
Las actualizaciones del 21 de octubre cierran vulnerabilidades que pueden permitir ejecutar código sin iniciar sesión; los mantenedores piden actualizar de inmediato.
Por qué confiar en Pulso Diario
Ilustración editorial original
PHP es un lenguaje que hace funcionar muchas páginas y aplicaciones web. Los problemas divulgados afectan a su motor interno, la parte que interpreta y ejecuta los programas, por lo que una aplicación bien escrita también puede quedar expuesta si utiliza una versión vulnerable.
Qué falló y a quién afecta
Los avisos identifican dos grupos de fallos con los códigos CVE-2026-109618 y CVE-2026-109619, referencias comunes para localizar vulnerabilidades. Ambos implican un uso incorrecto de la memoria al interrumpirse o terminar una petición. Pueden dejar datos internos en un estado inválido que después se reutiliza. PHP considera expuestas las instalaciones que atienden peticiones web y sitúa el mayor riesgo demostrado en su integración directa con el servidor Apache.
Qué papel tuvo la inteligencia artificial
Wiz declara que empleó su sistema Atlas y los modelos Gemini 4 Argon y GPT-5.6 Sol para encontrar fallos, desarrollar pruebas y validar correcciones. Fecha su primer hallazgo el 19 de agosto y el aviso a PHP el 24 de agosto. OpenAI atribuye a Calif un descubrimiento con GPT-5.6 Sol y reconoce el hallazgo independiente de Wiz. Los mantenedores de PHP dirigieron las correcciones y la publicación; no fue una reparación autónoma distribuida por un modelo.
Fuentes: [2] Wiz Research · investigación y cronología · [3] OpenAI · coordinación de la respuesta
Ilustración editorial original
Qué versiones incorporan las correcciones
PHP publicó las versiones 8.5.12, 8.4.27, 8.3.36 y 8.2.35. Quien administra una web debe comprobar la versión realmente utilizada y los paquetes corregidos de su proveedor o distribución. PHP 8.1 y anteriores ya no reciben soporte ordinario del proyecto, aunque algunos proveedores mantienen sus propias correcciones. El aviso oficial insiste en que las medidas temporales solo reducen determinadas vías de ataque: no sustituyen a una actualización completa.
Ilustración editorial original
La prueba de la IA defensiva es que el parche llegue al servidor
Encontrar una vulnerabilidad grave con ayuda de IA es relevante, pero el beneficio público depende de que la corrección llegue a los sistemas en uso. El aviso de PHP aporta la parte más útil para quienes administran servicios: versiones concretas, alcance del problema y límites de las medidas provisionales. Esa información debe ocupar más espacio que la competición por adjudicarse el hallazgo.
Wiz describe cómo los modelos redujeron trabajo necesario para convertir errores complejos en ataques demostrables. La misma capacidad puede ayudar a defensores y atacantes. La respuesta razonable combina acceso responsable a herramientas de investigación con recursos para los mantenedores, que siguen teniendo que revisar cambios, comprobar compatibilidad y distribuir versiones fiables.
OpenAI propone ampliar la coordinación entre proyectos, proveedores y organismos públicos. Puede ser útil si facilita que muchos operadores actúen antes de la divulgación. Su credibilidad deberá medirse con resultados comprobables: cobertura de actualizaciones, rapidez de adopción y comunicación de lo que sigue expuesto. Publicar un parche y tener una web protegida son dos hitos diferentes.
Opinión de Pulso Diario · elaborada a partir de los hechos y fuentes citadosFuentes y límites de verificación
Se leyeron el aviso de PHP, la investigación de Wiz y la propuesta de OpenAI. No se probaron ataques ni se auditó ninguna instalación. Las valoraciones comerciales sobre el porcentaje de Internet afectado o la superioridad histórica del hallazgo no se adoptan como mediciones verificadas. Las explicaciones operativas remiten al aviso oficial y al proveedor de cada sistema.
Fuentes: [1] PHP · aviso oficial y versiones corregidas · [2] Wiz Research · investigación y cronología · [3] OpenAI · coordinación de la respuesta
Comentarios · ¿qué duda te queda?
¿Qué dato te ayudaría a entender mejor esta noticia? Comparte tu pregunta o señala un posible error con su fuente. Usaremos las dudas para orientar nuevas explicaciones, sin prometer una respuesta individual.
Los comentarios se revisan antes de publicarse. Respeta a los demás, aporta argumentos y evita publicidad o datos personales. Puedes eliminar tus propios comentarios.
Google se cargará al pulsar. Privacidad.
Has accedido con Google.
Más en Inteligencia artificial
Claude amplía su marca de agua textual a tres modelos: qué permite detectar y qué no
Claude abre hilos temporales para agilizar conversaciones largas sin reducir los tokens facturados
La historia viral de Claude Code y 17.342 fotos: qué revisar en tu iPhone
OpenAI presenta LifeVal para evaluar la ayuda de la IA en tareas cotidianas
IA cuántica: la carrera por calcular lo que hoy se nos resiste
Gemini tiene diez consejos para la próxima década: el primero empieza por tu cuerpo
Karpathy se hartó de YouTube: así creó HackerTube con IA en unas dos horas
Los nuevos proyectos de pago de Gemini API guardan solicitudes por defecto: cómo controlar el registro
Sheets añade las fuentes web de las respuestas generadas con Gemini a cada celda
«Brain fry»: cuando supervisar la IA se convierte en otra carga de trabajo
AlphaFold y las curas con IA: qué está demostrado y qué falta
